Ordinanza ingiunzione o revoca n. 613 del 17/10/2024

ESTAR: diffusione online illecita di una graduatoria intermedia di procedura selettiva

Il Garante per la protezione dei dati personali ha esaminato il trattamento effettuato da ESTAR nell’ambito di una procedura selettiva, con particolare riguardo alla pubblicazione sul sito istituzionale di una graduatoria intermedia recante gli esiti dei colloqui tecnici professionali dei candidati. Il procedimento è stato avviato a seguito di reclamo e si è concluso con la rilevazione dell’illiceità della diffusione e con l’irrogazione di una sanzione amministrativa pecuniaria.

Fatti e origine del procedimento

I reclamanti hanno lamentato che ESTAR avesse pubblicato online una graduatoria intermedia della selezione, associando ai nominativi dei candidati le formule "idoneo" con punteggio, "non idoneo" o "assente". Hanno inoltre segnalato un errore materiale nella trasmissione, in sede di accesso agli atti, di un file denominato con il cognome di un altro reclamante. Su quest’ultimo profilo, il Garante ha ritenuto che non vi fossero i presupposti per imputare una responsabilità all’Ente, poiché dalle dichiarazioni acquisite emergeva che i reclamanti avevano presentato istanze congiunte e che i contenuti trasmessi erano correttamente riferiti ai singoli candidati.

Attività istruttoria e difese dell’Ente

Nel corso dell’istruttoria l’Autorità ha verificato che la graduatoria risultava ancora reperibile online tramite motori di ricerca generalisti, nonostante la rimozione dalla specifica pagina della selezione. ESTAR ha sostenuto di aver pubblicato il file solo temporaneamente, fino alla graduatoria definitiva, e di averlo conservato nel CMS per esigenze archivistiche e di data certa, con inibizione alla visualizzazione per gli utenti non amministratori. Ha anche affermato che l’indicizzazione da parte di Google sarebbe dipesa dal fatto che il file era inizialmente pubblico e che il CMS Wordpress non consentiva una partizione automatizzata delle directory. Nella memoria difensiva, l’Ente ha ribadito che la pubblicazione era limitata ai nominativi con la sola dicitura "non idoneo", senza voto numerico, ed era finalizzata alla trasparenza e al controllo della procedura.

Quadro normativo richiamato

Il Garante ha richiamato gli artt. 5 e 6 del GDPR, l’art. 6, par. 3, e l’art. 2-ter del Codice privacy, sottolineando che i trattamenti effettuati da soggetti pubblici devono poggiare su una base giuridica prevista dal diritto dell’Unione o nazionale e rispettare i principi di liceità, correttezza, minimizzazione e proporzionalità. Sono stati richiamati anche l’art. 19 del d.lgs. 33/2013 in tema di trasparenza amministrativa, l’art. 35 del d.lgs. 165/2001, il d.P.R. 487/1994, nonché le Linee guida del Garante del 2014 sulla pubblicazione online di documenti amministrativi.

Valutazione del Garante sulla pubblicazione della graduatoria

L’Autorità ha ritenuto che la pubblicazione della graduatoria intermedia non fosse sorretta da idonea base giuridica. La disciplina generale sulla pubblicità dei concorsi e delle selezioni riguarda la pubblicazione delle graduatorie finali dei vincitori, non degli atti intermedi recanti gli esiti delle singole prove. Anche la normativa sulla trasparenza amministrativa consente la pubblicazione dei bandi, dei criteri di valutazione, delle tracce delle prove e delle graduatorie finali, ma non degli atti endoprocedimentali con i giudizi dei singoli candidati.

Il Garante ha precisato che la minimizzazione adottata da ESTAR, consistente nell’omissione del punteggio per i non idonei, non era sufficiente a rendere lecita la pubblicazione, poiché il vizio era a monte: la diffusione online dell’atto intermedio era in sé priva di presupposto normativo. È stato inoltre escluso che l’argomento della prova orale aperta al pubblico potesse giustificare la pubblicazione online di atti o documenti della commissione esaminatrice.

Illiceità del trattamento e conseguenze

Il trattamento è stato qualificato come diffusione illecita di dati personali riferibili ai partecipanti alla procedura, in violazione degli artt. 5 e 6 del GDPR e dell’art. 2-ter del Codice privacy. Il Garante ha evidenziato che la pubblicazione rendeva conoscibili a chiunque valutazioni negative o positive sulle qualità e attitudini professionali degli interessati, con possibili effetti pregiudizievoli.

Sanzione e criteri di quantificazione

Ai fini sanzionatori, il Garante ha applicato l’art. 83, parr. 2, 3 e 5, del GDPR, ritenendo che le violazioni derivassero da un’unica condotta e che l’importo massimo teorico fosse quello previsto dal par. 5. La gravità è stata considerata media, anche perché non erano stati diffusi dati particolari ex art. 9 GDPR né dati relativi a condanne o reati, e perché l’Ente aveva comunque adottato alcuni accorgimenti per limitare la diffusione delle informazioni sui non idonei.

Sono state valorizzate come attenuanti:

• l’adozione di misure tecniche e organizzative volte a ridurre il rischio di future violazioni;
• l’assenza di precedenti pertinenti;
• la cooperazione con l’Autorità;
• la tempestiva rimozione del contenuto dal web.

In ragione di tali elementi, la sanzione amministrativa pecuniaria è stata determinata in euro 5.000.

Provvedimenti finali e adempimenti

Il Garante ha ordinato a ESTAR il pagamento della sanzione di euro 5.000 entro 30 giorni dalla notificazione del provvedimento, con la possibilità di definire la controversia mediante il pagamento della metà dell’importo nei termini previsti dall’art. 166, comma 8, del Codice. È stata inoltre disposta:

• la pubblicazione dell’ordinanza ingiunzione sul sito Internet del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Il Garante ha infine rilevato che non ricorrevano i presupposti per ulteriori misure correttive, poiché la graduatoria era già stata rimossa dal web.